データ処理契約

本データ処理追加契約（「DPA」）は、Push Engage LLC d/b/a PushEngage（「PushEngage」）と顧客（「顧客」）との間の契約の一部を構成し、両当事者が本DPAを締結した日（「発効日」）をもって発効するものとします。本DPAで定義されていない大文字の用語は、契約で定められた意味を有するものとします。

1. 定義

「関連会社」とは、ある法人を直接的または間接的に管理し、管理され、または共通の管理下にある法人を意味します。

「契約」とは、PushEngageが随時更新する場合がある、顧客へのサービス提供を管理するPushEngageの利用規約を意味します。

「管理」とは、問題となっている法人の総持分の50％以上を表す所有権、議決権、またはそれに類する持分を意味します。「管理下にある」という用語は、それに応じて解釈されるものとします。

「顧客データ」とは、サービス提供の過程で、データ処理者としてPushEngageが顧客の代わりに処理する個人データを意味します。これは、本DPAでより詳細に説明されています。

「データ保護法」とは、契約に基づき個人データを処理する際に適用されるすべてのデータ保護およびプライバシー法を意味します。該当する場合は、EUデータ保護法を含みます。

「データ管理者」とは、個人データの処理の目的と手段を決定する法人を意味します。

「データ処理者」とは、データ管理者になり代わって個人データを処理する法人を意味します。

「EUデータ保護法」とは、（i）2018年5月25日より前は、個人データの処理およびそのようなデータの自由な移動に関する欧州議会および理事会の指令95/46/EC（「指令」）、および2018年5月25日以降は、個人データの処理およびそのようなデータの自由な移動に関する欧州議会および理事会の規則2016/679（一般データ保護規則）（「GDPR」）を意味します。また、（ii）電子通信分野における個人データの処理およびプライバシーの保護に関する指令2002/58/EC、およびその適用可能な国内実施（改正、置き換え、または取って代わられる場合がある）を意味します。

「EEA」とは、本DPAの目的上、欧州経済領域、英国、およびスイスを意味します。

「グループ」とは、法人の企業グループに属するすべての関連会社を意味します。

「PushEngageネットワーク」とは、PushEngageが管理し、サービス提供に使用されるPushEngageのデータセンター設備、サーバー、ネットワーク機器、およびホストソフトウェアシステム（例：仮想ファイアウォール）を意味します。

「個人データ」とは、特定または特定可能な自然人に関する情報を意味します。

「Processing」はGDPRで定義された意味を有し、「process」、「processes」、「processed」も同様に解釈されるものとします。

「Security Incident」とは、顧客データの偶発的または違法な破壊、損失、改ざん、不正な開示またはアクセスにつながる、あらゆる不正または違法なセキュリティ侵害を意味します。

「Services」とは、契約に基づきPushEngageが顧客に提供する製品またはサービスを意味します。

「Standard Contractual Clauses」とは、本アドオンに添付され、その一部を構成する別紙Cを意味します。

「Sub-processor」とは、契約または本DPAに基づきサービスを提供する義務の履行を支援するためにPushEngageまたはその関連会社によって関与させられるデータ処理者を意味します。サブプロセッサーには、第三者またはPushEngageグループのメンバーが含まれる場合があります。

2. 契約との関係

2.1 両当事者は、本DPAが、両当事者が以前にサービスに関して締結した可能性のある既存のDPAに取って代わることに同意します。

2.2 本DPAによる変更を除き、契約は変更されず、完全な効力を維持します。本DPAと契約との間に矛盾がある場合、その矛盾の範囲で本DPAが優先されるものとします。

2.3 本DPAに基づきまたは関連して提起された請求は、契約に定められた除外および制限を含むがこれらに限定されない、契約の条件に従うものとします。

2.4 本DPAに基づきPushEngageまたはその関連会社に対して提起された請求は、契約の当事者である法人に対してのみ提起されるものとします。いかなる場合も、いずれかの当事者は、本DPAまたはその他の下での個人データ保護権に関して、その責任を制限しないものとします。顧客はさらに、顧客が本DPAまたは適用されるデータ保護法の下での義務を遵守しなかった結果として、またはそれに関連してPushEngageが被る規制上の罰金は、契約の下での顧客に対する責任とみなされ、契約の下でのPushEngageの責任を軽減するものとすることに同意します。

2.5 本DPAの当事者、その承継人および許可された譲受人以外の誰も、その条件のいずれかを執行する権利を有しないものとします。

2.6 本DPAは、適用されるデータ保護法により別途要求されない限り、契約における準拠法および管轄権の規定に従って解釈および管理されるものとします。

3. 本DPAの範囲と適用性

3.1 本DPAは、PushEngageが契約に基づきサービスを提供する過程で、顧客のデータ処理者として、EEAに由来する、またはEUデータ保護法の対象となる顧客データを処理する場合にのみ適用されます。

3.2 本DPAの第4条から第8条（両端を含む）および本DPAの附属書A、B、CからなるパートAは、本DPAの有効日より、本DPAの範囲内での顧客データの処理に適用されます。

3.3 本DPAの第9条から第12条（両端を含む）からなるパートBは、2018年5月25日より、本DPAの範囲内での顧客データの処理に適用されます。誤解を避けるために申し添えますと、パートBはパートAの条項に加えて適用され、代替するものではありません。

パートA：一般的なデータ保護義務

4. 役割と処理の範囲

4.1 当事者の役割。PushEngageと顧客の間では、顧客は顧客データのデータ管理者であり、PushEngageは顧客に代わってデータ処理者としてのみ顧客データを処理します。

4.2 顧客による顧客データの処理。顧客は、（i）顧客データの処理およびPushEngageへの処理指示に関して、データ保護法に基づくデータ管理者としての義務を遵守すること、および（ii）PushEngageが契約および本DPAに基づき顧客データを処理しサービスを提供するために、データ保護法に基づくすべての同意および権利を通知し、取得したこと（または取得すること）に同意するものとします。

4.3 PushEngageによる顧客データの処理。PushEngageは、本DPAに記載された目的のためにのみ、かつ顧客の文書化された合法的な指示に従ってのみ、顧客データを処理します。両当事者は、本DPAおよび契約が、顧客データの処理に関する顧客からPushEngageへの完全かつ最終的な指示を定めるものであり、これらの指示の範囲外の処理（もしあれば）には、顧客とPushEngage間の事前の書面による合意が必要となることに同意します。

4.4 データ処理の詳細。

  1. 処理の主題：本DPAに基づくデータ処理の主題は、顧客データです。
  2. 期間：PushEngageと顧客の間では、本DPAに基づくデータ処理の期間は、契約の条件に従った契約の終了までとします。
  3. 目的：本DPAに基づくデータ処理の目的は、顧客へのサービスの提供、および契約（本DPAを含む）に基づくPushEngageの義務の履行、または両当事者によって別途合意されたものです。
  4. 処理の性質：PushEngageは、契約に記載されているとおり、ウェブプッシュ通知サービスおよびその他の関連サービスを提供します。
  5. データ主体のカテゴリ：顧客のアカウントを通じてサービスにアクセスおよび/または使用する個人（「ユーザー」）、および（i）顧客の配布リストに含まれるメールアドレスを持つ個人、（ii）サービスに保存されている、またはサービスを通じて収集された情報を持つ個人、または（iii）ユーザーがメールを送信する、またはサービスを通じてその他の方法で関与または通信する個人（総称して「購読者」）のいずれか。
  6. 顧客データの種類：
  7. 顧客およびユーザー：識別および連絡先データ（氏名、住所、役職、連絡先詳細、ユーザー名）；財務情報（クレジットカード詳細、口座詳細、支払い情報）；雇用詳細（雇用主、役職、地理的位置、担当範囲）。
  8. 購読者：識別および連絡先データ（氏名、生年月日、性別、一般情報、職業またはその他の人口統計情報、住所、役職、メールアドレスを含む連絡先詳細）、個人的な興味または好み（購入履歴、マーケティングの好み、公開されているソーシャルメディアプロフィールの情報を含む）；IT情報（IPアドレス、使用状況データ、Cookieデータ、オンラインナビゲーションデータ、位置情報データ、ブラウザデータ）；財務情報（クレジットカード詳細、口座詳細、支払い情報）。
  9. 本契約（本DPAを含む）のいかなる規定にもかかわらず、顧客は、PushEngageが、請求、アカウント管理、テクニカルサポート、製品開発、販売およびマーケティングなどの正当な事業目的のために、本サービスの運用、サポート、および/または使用に関連するデータを使用および開示する権利を有することを認めます。かかるデータがデータ保護法の下で個人データとみなされる範囲において、PushEngageはそのデータのデータ管理者であり、したがってPushEngageプライバシーポリシーおよびデータ保護法に従ってかかるデータを処理するものとします。
  10. 追跡技術。顧客は、本サービスの提供に関連して、PushEngageがCookie、ユニークID、Webビーコン、および類似の追跡技術（「追跡技術」）を使用することを認めます。顧客は、データ保護法によって要求される適切な通知、同意、オプトイン、およびオプトアウトメカニズムを維持するものとし、これによりPushEngageは、購読者（以下に定義）のデバイスに追跡技術を合法的に展開し、PushEngage Cookie Statementに記載されているとおりにデータを収集することができます。

5. サブプロセッサー

5.1 承認済みサブプロセッサー。顧客は、PushEngageが顧客の代わりに顧客データを処理するためにサブプロセッサーを雇用する場合があることに同意します。現在PushEngageによって雇用され、顧客によって承認されているサブプロセッサーは、別紙Aに記載されています。

5.2 サブプロセッサーの義務。PushEngageは、(i) サブプロセッサーと、データ保護法によって要求される基準で顧客データを保護することをサブプロセッサーに要求するデータ保護条項を課す書面契約を締結し、(ii) 本DPAの義務の遵守、およびPushEngageが本DPAに基づく義務のいずれかに違反する原因となるサブプロセッサーの行為または不作為について責任を負うものとします。

6. セキュリティ

6.1 セキュリティ対策。PushEngageは、Annex B（「セキュリティ対策」）に記載されているPushEngageのセキュリティ基準に従い、セキュリティインシデントから顧客データを保護し、顧客データのセキュリティと機密性を維持するために、適切な技術的および組織的なセキュリティ対策を実装および維持するものとします。

6.2 セキュリティ対策の更新。顧客は、PushEngageがデータセキュリティに関して提供する情報を確認し、サービスが顧客の要件およびデータ保護法に基づく法的義務を満たしているかどうかを独自に判断する責任を負います。顧客は、セキュリティ対策が技術の進歩と開発の対象であり、PushEngageがサービス全体のセキュリティを低下させない限り、セキュリティ対策を随時更新または変更する場合があることを認めます。

6.3 顧客の責任。上記にかかわらず、顧客は、本DPAに定められた場合を除き、サービスへの安全な利用、アカウント認証資格情報の保護、サービスとの間で送受信される顧客データのセキュリティの保護、およびサービスにアップロードされた顧客データの安全な暗号化またはバックアップのための適切な措置を講じることについて責任を負うことに同意します。

7. セキュリティレポートと監査

7.1 顧客は、PushEngageがそれぞれ独立した第三者監査人および内部監査人によってSSAE 16およびPCI基準に対して定期的に監査を受けていることを認めます。

7.2 PushEngageは、顧客が本DPAの遵守を確認するために必要な情報セキュリティおよび監査アンケートへの回答を含め、顧客からのすべての合理的な情報要求に対して（機密ベースで）書面で回答するものとします。ただし、顧客はこの権利を年に1回を超えて行使しないものとします。

8. 国際的な移転

8.1 データセンターの場所。PushEngageは、PushEngage、その関連会社、またはサブプロセッサーがデータ処理業務を維持する世界中のどこでも顧客データを転送および処理することができます。PushEngageは、データ保護法の要件に従い、処理される顧客データに対して常に適切なレベルの保護を提供するものとします。

8.2 代替移転メカニズム。両当事者は、PushEngageがEEA外への個人データの合法的な移転（EUデータ保護法の下で認められる）のために代替データエクスポートソリューション（「代替移転メカニズム」）を採用した場合、およびその範囲において、セクション8.2に特定されたデータエクスポートソリューションは適用されないことに同意します。その場合、代替移転メカニズムが代わりに適用されます（ただし、代替移転メカニズムが個人データが移転される地域に及ぶ範囲に限ります）。

パートB：2018年5月25日以降のGDPR義務

9. 追加セキュリティ

9.1 処理の機密性。PushEngageは、PushEngageによって顧客データを処理する権限を与えられた者（そのスタッフ、代理人、および下請業者を含む）が、適切な機密保持義務（契約上または法定上の義務）を負うことを保証するものとします。

9.2 セキュリティインシデントへの対応。PushEngageは、セキュリティインシデントを認識した後、遅滞なく顧客に通知し、判明したセキュリティインシデントに関する適時な情報、または顧客が合理的に要求する情報を提供するものとします。

10. サブプロセッサーの変更

10.1 PushEngageは、（i）顧客からの書面による要求に応じて、任命したサブプロセッサーの最新リストを提供し、および（ii）サブプロセッサーを追加または削除する場合、そのような変更の少なくとも10日前までに顧客に通知するものとします（電子メールで十分とします）。

10.2 顧客は、そのような通知から30暦日以内に、データ保護に関連する合理的な根拠に基づいている場合に限り、PushEngageによる新しいサブプロセッサーの任命に書面で異議を唱えることができます。この場合、両当事者は、解決を達成することを目的として、誠意をもってそのような懸念について話し合うものとします。それが不可能な場合、顧客は、顧客がサスペンションまたは終了前に発生した料金に影響を与えることなく、契約を一時停止または終了することができます。

11. データの返却または削除

11.1 契約の終了または満了時、PushEngageは、（顧客の選択により）顧客の所有または管理下にあるすべての顧客データ（コピーを含む）を顧客に削除または返却するものとします。ただし、適用法により一部またはすべての顧客データを保持する必要がある場合、またはバックアップシステムにアーカイブされた顧客データについては、この要件は適用されないものとします。これらの顧客データについては、適用法で要求される範囲を除き、PushEngageは安全に隔離し、それ以上の処理から保護するものとします。

12. 協力

12.1 本サービスは、顧客がGDPRに基づく義務、特にデータ主体または適用されるデータ保護当局からの要求に対応する義務を支援するために使用できる、顧客データを受信、修正、削除、または制限するために顧客が使用できる多数の管理機能を提供します。顧客がサービス内で関連する顧客データに独立してアクセスできない範囲で、PushEngageは（顧客の費用負担で）合意に基づく個人データの処理に関する個人または適用されるデータ保護当局からの要求に対応するために、合理的な協力を行います。そのような要求が直接PushEngageに対して行われた場合、PushEngageは、法的に義務付けられない限り、顧客の事前の承認なしにそのようなコミュニケーションに直接応答しません。PushEngageがそのような要求に応答する必要がある場合、PushEngageは、法的に禁止されていない限り、速やかにお客様に通知し、要求のコピーを提供します。

12.2 法執行機関が顧客データ（例：召喚状または裁判所命令）の要求をPushEngageに送信した場合、PushEngageは法執行機関に顧客に直接要求するように誘導するよう努めます。この取り組みの一環として、PushEngageは顧客の基本的な連絡先情報を法執行機関に提供する場合があります。法執行機関に顧客データを開示することを強制された場合、PushEngageは、法的に禁止されていない限り、保護命令またはその他の適切な救済を求める機会を顧客に与えるために、合理的な通知を行います。

12.3 EUデータ保護法によりPushEngageが要求される範囲で、PushEngageは（顧客の費用負担で）データ保護影響評価を実施するため、または法律で要求されるデータ保護当局との事前協議を行うために、合理的に要求されたサービスに関する情報を提供します。

別紙A – PushEngageサブプロセッサーリスト

PushEngageは、その関連会社およびさまざまなサードパーティのサブプロセッサーを使用して、サービス（契約に記載されているとおり）の提供を支援しています。以下に記載されているこれらのサブプロセッサーは、クラウドホスティングおよびストレージサービス、コンテンツ配信およびレビューサービスを提供し、カスタマーサポートの提供を支援するとともに、インシデント追跡、対応、診断、および解決サービスを提供します。
プロセッサーとして作業する際に当社が使用するサブプロセッサー

サブプロセッサー目的場所その他のコメント
Amazon Web Servicesインフラストラクチャおよびデータベースのホスティングのためのセキュアクラウドサービスアメリカ合衆国https://aws.amazon.com/compliance/gdpr-center/

別紙B – セキュリティ対策

本サービスに適用されるセキュリティ対策は、以下およびこちら https://PushEngage.com/security/ （本DPAのセクション6.2に従って随時更新される）に記載されています。

1. 情報セキュリティプログラム。PushEngageは、(a)顧客データを偶発的または違法な損失、アクセス、開示から保護するのに役立ち、(b)PushEngageネットワークへのセキュリティおよび不正アクセスに関する合理的に予見可能な内部リスクを特定し、(c)リスク評価および定期的なテストを含むセキュリティリスクを最小限に抑えるように設計された情報セキュリティプログラム（内部ポリシーおよび手順の採用と施行を含む）を維持します。PushEngageは、情報セキュリティプログラムを調整し、責任を負う従業員を1人以上指定します。情報セキュリティプログラムには、次の措置が含まれます。

1.1 ネットワークセキュリティ。PushEngageネットワークは、サービスを提供するために必要な従業員、請負業者、およびその他の個人が電子的にアクセスできるようになります。PushEngageは、ファイアウォールまたは機能的に同等の技術および認証制御の使用を含め、各ネットワーク接続およびユーザーからのPushEngageネットワークへのアクセスを管理するためのアクセス制御およびポリシーを維持します。PushEngageは、潜在的なセキュリティ脅威に対応するための是正措置およびインシデント対応計画を維持します。

1.2 物理的セキュリティ

1.2.1 物理的アクセス制御。PushEngageネットワークの物理コンポーネントは、目立たない施設（「施設」）に収容されています。物理的障壁制御は、敷地境界および建物アクセスポイントの両方で、施設への不正侵入を防ぐために使用されます。施設での物理的障壁を通過するには、電子アクセス制御検証（例：カードアクセスシステムなど）または人間のセキュリティ担当者による検証（例：契約または社内セキュリティガードサービス、受付係など）のいずれかが必要です。従業員および請負業者には、いずれかの施設にいる間着用しなければならない写真付きIDバッジが割り当てられます。訪問者は、指定された担当者にサインインする必要があり、適切な身分証明書を提示する必要があり、訪問中に着用しなければならない訪問者IDバッジが割り当てられ、施設を訪問中は権限のある従業員または請負業者によって常にエスコートされます。

1.2.2 従業員および請負業者のアクセス制限。PushEngageは、そのようなアクセス権限に対する正当なビジネス上の必要性を持つ従業員および請負業者に施設へのアクセスを提供します。従業員または請負業者が、割り当てられたアクセス権限に対するビジネス上の必要性を失った場合、従業員または請負業者がPushEngageまたはその関連会社の従業員であり続けても、アクセス権限は速やかに取り消されます。

1.2.3 物理的セキュリティ保護。 すべてのアクセスポイント（メインエントランスドアを除く）は、安全（施錠）状態に維持されます。施設へのアクセスポイントは、施設にアクセスするすべての個人を記録するように設計されたビデオ監視カメラによって監視されます。PushEngageは、電子侵入検知システムも維持しており、これは、ドア連絡先、ガラス破壊検出器、室内モーション検出、または施設へのアクセスを試みる個人を検出するように設計されたその他のデバイスを使用して、脆弱なポイント（例：メインエントランスドア、非常口ドア、屋根ハッチ、ドックベイドアなど）を監視することにより、施設への不正アクセスを検出するように設計されています。従業員および請負業者による施設へのすべての物理的アクセスは記録され、定期的に監査されます。

2. 継続的な評価。PushEngageは、業界のセキュリティ基準およびそのポリシーと手順に対して測定された、PushEngageネットワークのセキュリティとその情報セキュリティプログラムの適切性に関する定期的なレビューを実施します。PushEngageは、定期的なレビューによって生成された新たなセキュリティリスクまたは発見に対応するために、追加または異なるセキュリティ対策が必要かどうかを判断するために、PushEngageネットワークおよび関連サービスのセキュリティを継続的に評価します。

別紙C – 標準契約条項

個人データの保護において十分な水準を確保していない第三国に設立された処理業者への個人データの転送に関する指令95/46/EC第26条(2)の目的のため

補遺で「顧客」として特定された法人（「データ輸出者」）およびPushEngage（「データ輸入者」）は、それぞれ「当事者」であり、まとめて「両当事者」とします。

両当事者は、データ輸出者からデータ輸入者への別紙1に指定された個人データの転送に関して、個人のプライバシーおよび基本的権利と自由の保護に関する十分な保護措置を講じるために、以下の契約条項（「本条項」）に合意しました。

条項1

定義

本条項の目的のため：

  • 「個人データ」、「データの特別なカテゴリ」、「処理/処理」、「管理者」、「処理業者」、「データ主体」、「監督機関」は、個人データの処理およびそのようなデータの自由な移動に関する1995年10月24日の欧州議会および理事会の指令95/46/ECと同じ意味を有するものとします。
  • 「データ輸出者」とは、個人データを転送する管理者とします。
  • 「データ輸入者」とは、指令95/46/EC第25条(1)の意味において十分な保護を確保する第三国の制度の対象とならない、転送後、その指示および本条項の条件に従って、そのために意図された個人データをデータ輸出者から受け入れることに同意する処理業者とします。
  • 「サブプロセッサー」とは、データ輸入者またはデータ輸入者の他のサブプロセッサーによって関与され、データ輸入者またはデータ輸入者の他のサブプロセッサーから、移転後にデータ輸出者の指示、本契約の条件、および書面による下請契約の条件に従って処理活動のために専ら受け取ることに同意するプロセッサーを意味します。
  • 「適用されるデータ保護法」とは、個人の基本的権利および自由、特にデータ輸出者が設立されている加盟国におけるデータ管理者に関係する個人データの処理に関するプライバシーの権利を保護する法律を意味します。
  • 「技術的および組織的なセキュリティ対策」とは、個人データを偶発的または違法な破壊、偶発的な損失、改変、不正な開示またはアクセスから保護することを目的とした対策を意味します。特に、処理にネットワークを介したデータの送信が含まれる場合、およびその他のすべての違法な処理形態から保護することを目的とした対策を意味します。

第2条

移転の詳細

移転の詳細、特に該当する場合は個人データの特別なカテゴリは、本契約の不可欠な部分を形成する別紙1に記載されています。

第3条

第三者受益者条項

  • データ主体は、データ輸出者に対して、本条、第4条(b)から(i)、第5条(a)から(e)、および(g)から(j)、第6条(1)および(2)、第7条、第8条(2)、ならびに第9条から第12条までを第三者受益者として執行することができます。
  • データ主体は、データ輸出者が事実上消滅したか、法的に消滅したか、または後継事業体が契約または法律の施行によりデータ輸出者のすべての法的義務を引き継ぎ、その結果データ輸出者の権利と義務を引き継いだ場合を除き、データ輸入者に対して、本条、第5条(a)から(e)および(g)、第6条、第7条、第8条(2)、ならびに第9条から第12条までを執行することができます。その場合、データ主体はその事業体に対してそれらを執行することができます。
  • データ主体は、データ輸出者とデータ輸入者の両方が事実上消滅したか、法的に消滅したか、または破産した場合を除き、後継事業体が契約または法律の施行によりデータ輸出者のすべての法的義務を引き継ぎ、その結果データ輸出者の権利と義務を引き継いだ場合、サブプロセッサーに対して、本条、第5条(a)から(e)および(g)、第6条、第7条、第8条(2)、ならびに第9条から第12条までを執行することができます。その場合、データ主体はその事業体に対してそれらを執行することができます。サブプロセッサーのそのような第三者責任は、本契約に基づくサブプロセッサー自身の処理活動に限定されます。
  • データ主体が明示的に希望し、国内法で許可されている場合、当事者は、協会またはその他の団体がデータ主体を代表することに異議を唱えません。

第4条

データ輸出者の義務

データ輸出者は、以下を同意し、保証します。

  • 個人データの処理（転送自体を含む）が、適用されるデータ保護法の関連規定に従って実施されており、今後も実施されること（該当する場合、データ輸出者が設立されている加盟国の関連当局に通知されていること）、および当該国の関連規定に違反しないこと。
  • 個人データ処理サービス期間中、データ輸出者の代わりに、適用されるデータ保護法および本契約条項に従ってのみ個人データを処理するようデータ輸入者に指示しており、今後も指示すること。
  • データ輸入者は、本契約の別紙2に規定される技術的および組織的なセキュリティ対策に関して、十分な保証を提供すること。
  • 適用されるデータ保護法の要件を評価した結果、セキュリティ対策は、個人データの偶発的または違法な破壊、偶発的な損失、改ざん、不正な開示またはアクセス、特にネットワークを介したデータ転送が関わる場合、およびその他のすべての違法な処理形態から個人データを保護するために適切であり、これらの対策は、最新技術の状態およびその実施コストを考慮して、処理によって提示されるリスクおよび保護されるべきデータの性質に応じたセキュリティレベルを確保すること。
  • セキュリティ対策の遵守を確保すること。
  • 転送に個人データの特別カテゴリーが含まれる場合、データ主体は、データが、指令95/46/ECの意味において十分な保護を提供しない第三国に転送される可能性があることについて、転送前または転送後できるだけ早く通知されるか、または通知されること。
  • データ輸出者が転送を継続するか、または停止を解除することを決定した場合、データ輸入者またはサブプロセッサーから第5条(b)項および第8条(3)項に従って受領した通知を、データ保護監督当局に転送すること。
  • データ主体からの要求に応じて、別紙2を除く本契約条項のコピーおよびセキュリティ対策の要約説明、ならびに本契約条項に従って作成されなければならないサブプロセッシングサービスの契約書のコピーを、データ主体に提供すること。ただし、本契約条項または契約書に商業情報が含まれる場合は、当該商業情報を削除することができる。
  • サブプロセッシングの場合、処理活動は第11条に従って、データ輸入者が本契約条項の下で提供する個人データおよびデータ主体の権利に対する保護と同等以上の保護を提供するサブプロセッサーによって実施されること。
  • 第4条(a)項から(i)項までの遵守を確保すること。

第5条

データ輸入者の義務

データ輸入者は、以下に同意し、保証する。

  • データ送信者の代わりに、およびその指示と条項に従ってのみ個人データを処理すること。いかなる理由であれ、そのような遵守を提供できない場合は、その旨をデータ送信者に速やかに通知することに同意し、その場合、データ送信者はデータの転送を一時停止し、および/または契約を解除する権利を有する。
  • 適用される法律が、データ送信者から受け取った指示および契約上の義務の履行を妨げる理由はないと信じており、この法律の変更により、条項によって提供される保証および義務に実質的に悪影響を与える可能性がある場合には、それを認識次第、速やかにデータ送信者に通知すること。その場合、データ送信者はデータの転送を一時停止し、および/または契約を解除する権利を有する。
  • 転送された個人データを処理する前に、別紙2に指定された技術的および組織的なセキュリティ対策を実施したこと。
  • 以下について、データ送信者に速やかに通知すること。
  • 法執行機関による個人データの開示に関する、法的に拘束力のある要求（ただし、法執行捜査の機密性を維持するための刑事法による禁止など、別途禁止されていない限り）。
  • 偶発的または不正なアクセス。
  • データ主体から直接受け取った要求（別途許可されていない限り、その要求に応答しないこと）。
  • 転送対象の個人データの処理に関連するデータ送信者からのすべての問い合わせに迅速かつ適切に対応し、転送されたデータの処理に関して監督当局のアドバイスに従うこと。
  • データ送信者の要求に応じて、条項の対象となる処理活動の監査のためにデータ処理施設を提出すること。この監査は、データ送信者または独立したメンバーで構成され、機密保持義務を負い、専門的な資格を有し、データ送信者によって選択され、該当する場合は監督当局との合意により選択された検査機関によって実施されるものとする。
  • データ主体からの要求に応じて、条項のコピー、またはサブ処理に関する既存の契約のコピーをデータ主体に提供すること（ただし、条項または契約に商業情報が含まれている場合は、その商業情報を削除することができる。ただし、データ主体がデータ送信者からコピーを入手できない場合は、セキュリティ対策の概要説明に置き換える別紙2を除く）。
  • サブ処理の場合、事前にデータ送信者に通知し、その事前の書面による同意を得たこと。
  • サブプロセッサによる処理サービスは、条項11に従って実施されること。
  • 条項に基づいて締結するサブプロセッサ契約のコピーを、速やかにデータ送信者に送付すること。

標準契約条項と矛盾しない、国の法律に基づく義務的な要件であって、指令95/46/EC第13条(1)に記載された利益のいずれかに基づいて、民主的な社会において必要とされる範囲を超えるものではないもの。すなわち、国家安全保障、国防、公安、犯罪行為または専門職の倫理違反の防止、調査、検出および訴追、国家の重要な経済的または財政的利益、またはデータ主体もしくは他者の権利および自由の保護を確保するために必要な措置を構成する場合である。民主的な社会において必要とされる範囲を超えるものではない、そのような義務的な要件の例としては、国際的に認められた制裁、税務申告要件、またはマネーロンダリング防止報告要件などが挙げられる。

第6条

責任

  1. 当事者は、いずれかの当事者またはサブプロセッサーが第3条または第11条に言及された義務のいずれかに違反したことにより損害を被ったデータ主体は、被った損害についてデータエクスポーターから補償を受ける権利を有することに同意する。
  2. データ主体が、データエクスポーターが事実上消滅したか、法的に消滅したか、または破産したため、データエクスポーターまたはサブプロセッサーが第3条または第11条に言及された義務のいずれかに違反したことにより、第1項に従ってデータエクスポーターに対して補償請求を行うことができない場合、データエクスポーターのいかなる後継事業体も契約または法律の施行によりデータエクスポーターの全ての法的義務を承継した場合を除き、データ主体はあたかもデータエクスポーターであるかのようにデータインポーターに対して請求を発行できることにデータインポーターは同意する。その場合、データ主体はその権利を当該事業体に対して執行することができる。データインポーターは、自身の責任を回避するために、サブプロセッサーによる義務違反を援用することはできない。
  3. データ主体が、データエクスポーターおよびデータインポーターの両方が事実上消滅したか、法的に消滅したか、または破産したため、サブプロセッサーが第3条または第11条に言及された義務のいずれかに違反したことにより、第1項および第2項に言及されたデータエクスポーターまたはデータインポーターに対して請求を行うことができない場合、データエクスポーターまたはデータインポーターのいかなる後継事業体も契約または法律の施行によりデータエクスポーターまたはデータインポーターの全ての法的義務を承継した場合を除き、サブプロセッサーはあたかもデータエクスポーターまたはデータインポーターであるかのように、条項に基づく自身の処理活動に関してデータサブプロセッサーに対して請求を発行できることにサブプロセッサーは同意する。その場合、データ主体はその権利を当該事業体に対して執行することができる。サブプロセッサーの責任は、条項に基づく自身の処理活動に限定されるものとする。

第7条

調停および管轄

1. データ輸入者は、データ主体が第三者の受益者としての権利を行使したり、本契約条項に基づき損害賠償を請求したりした場合、データ輸入者はデータ主体による以下のいずれかの決定を受け入れることに同意します。

  • 独立した第三者による、または該当する場合は監督機関による紛争の調停に付託すること。
  • データ輸出者が設立されている加盟国の裁判所に紛争を付託すること。

両当事者は、データ主体によってなされた選択が、国内法または国際法の他の規定に従って救済を求める実体的または手続き上の権利を損なわないことに同意します。

第8条

監督機関との協力

  1. データ輸出者は、監督機関から要請された場合、または適用されるデータ保護法によりかかる預託が要求される場合、本契約の写しを監督機関に預託することに同意します。
  2. 両当事者は、監督機関がデータ輸入者およびサブプロセッサーの監査を実施する権利を有し、その監査の範囲および条件は、適用されるデータ保護法に基づくデータ輸出者の監査に適用されるものと同じであることに同意します。
  3. データ輸入者は、第2項に基づきデータ輸入者またはサブプロセッサーの監査の実施を妨げる適用法が存在する場合、速やかにデータ輸出者に通知するものとします。かかる場合、データ輸出者は第5条(b)に定める措置を講じる権利を有するものとします。

第9条

準拠法

本契約条項は、データ輸出者が設立されている加盟国の法律に準拠するものとします。

第10条

契約の変更

両当事者は、本契約条項を変更または修正しないことを約束します。ただし、これにより、両当事者が、本契約条項と矛盾しない限り、必要に応じて事業関連の問題に関する条項を追加することが妨げられるものではありません。

第11条

サブプロセッシング

  1. データ輸入者は、データ輸出者の事前の書面による同意なしに、本契約条項に基づきデータ輸出者のために実行される処理業務を再委託しないものとします。データ輸入者がデータ輸出者の同意を得て本契約条項に基づく義務を再委託する場合、データ輸入者に課されるものと同じ義務をサブプロセッサーに課す書面契約によってのみ行うものとします。サブプロセッサーが当該書面契約に基づくデータ保護義務を履行できなかった場合、データ輸入者は、当該契約に基づくサブプロセッサーの義務の履行について、データ輸出者に対して引き続き全責任を負うものとします。
  2. データ輸入者とサブプロセッサーとの間の事前の書面による契約には、データ主体が、データ輸出者またはデータ輸入者が法的に消滅した、または存在しなくなった、あるいは破産したために、またはデータ輸出者もしくはデータ輸入者の全法的義務を契約または法律の施行により引き継いだ後継事業体がないために、第6条第1項に規定される補償請求をデータ輸出者またはデータ輸入者に対して提起できない場合のために、第3条に規定される第三者受益者条項も規定するものとする。サブプロセッサーのそのような第三者責任は、その条項に基づくその自身の処理業務に限定されるものとする。
  3. 第1項に規定される契約のサブプロセッシングに関するデータ保護側面に関連する規定は、データ輸出者が設立されている加盟国の法律に準拠するものとする。
  4. データ輸出者は、第5条(j)に基づきデータ輸入者によって通知された、本条項に基づき締結されたサブプロセッシング契約のリストを保持し、少なくとも年に一度更新するものとする。このリストは、データ輸出者のデータ保護監督当局が利用できるものとする。

第12条

個人データ処理サービスの終了後の義務

  1. 両当事者は、データ処理サービスの提供が終了した時点で、データ輸入者およびサブプロセッサーは、データ輸出者の選択により、転送されたすべての個人データおよびそのコピーをデータ輸出者に返却するか、またはすべての個人データを破棄し、その旨をデータ輸出者に証明するものとする。ただし、データ輸入者に課せられた法令により、転送された個人データの全部または一部を返却または破棄することができない場合はこの限りではない。その場合、データ輸入者は、転送された個人データの機密性を保証し、転送された個人データを積極的に処理しないことを保証するものとする。
  2. データ輸入者およびサブプロセッサーは、データ輸出者および/または監督当局からの要求に応じて、第1項に規定される措置の監査のためにデータ処理設備を提出することを保証するものとする。

標準契約条項への別紙1

データ輸出者

データ輸出者は、補遺において「顧客」として特定されるエンティティです。

データ輸入者

データ輸入者は、WebサービスプロバイダーであるPushEngageです。

データ主体

データ主体には、データ輸出者の顧客およびエンドユーザーが含まれます。

データのカテゴリ

データ輸出者がPushEngageサービスにアップロードする個人に関連する個人データ。

処理業務

転送される個人データは、以下の基本的な処理アクティビティ（該当する場合）の対象となります。

PushEngageネットワーク上でのコンピューティング、ストレージ、およびコンテンツ配信

標準契約条項への別紙2

この別紙は条項の一部を構成し、両当事者によって完成および署名されなければなりません。この補遺の1ページ目の署名ページに署名することにより、両当事者はこの別紙2に署名したものとみなされます。

データ輸入者が第4条(d)および第5条(c)（または添付の文書/法令）に従って実施する技術的および組織的なセキュリティ対策の説明：

データ輸入者が実施する技術的および組織的なセキュリティ対策は、補遺に記載されているとおりです。

最終更新日：2025年12月24日